BOLETÍN OFICIAL DEL ESTADO
Miércoles 20 de septiembre de 2023

Sec. III. Pág. 127708

h) No comunicar los datos a terceras personas, salvo que cuente con la
autorización expresa del Responsable del Tratamiento, en los supuestos
legalmente admitidos.
i) Llevar, por escrito, un registro de todos los incidentes de seguridad de la
información tanto que se deban aportar o no al CCN-CERT.
j) Para la realización del servicio, se requieren las siguientes comunicaciones
internas de datos entre los Encargados del Tratamiento del Ministerio de Cultura y
Deporte:
– La Fábrica Nacional de Moneda y Timbre-Real Casa de la Moneda (FNMTRCM), a través de la plataforma tecnológica de gestión del Bono Cultural Joven,
contiene los datos personales correspondientes a los solicitantes de las ayudas y
adhesión de las entidades al citado programa (personas interesados y
representantes legales).
– TRAGSATEC obtiene, a través de la plataforma tecnológica de la FNMTRCM, los datos personales necesarios para realizar la revisión documental de los
expediente de concesión de ayudas y de adhesión de las entidades.
– La Sociedad Estatal Correos y Telégrafos, SA, S.M.E., como entidad
comercializadora de medios de pago de las tarjetas prepago y de gestión de altas
y bajas de TPVs de las entidades adheridas, recibe de forma segura a través de la
plataforma de la FNMT-RCM mediante APIs, los datos personales necesarios de
las personas beneficiarias del Bono Cultural Joven y de las entidades adheridas al
programa.
k) En caso de duda en el acceso a los datos por personal autorizado o en el
flujo de estos, se consultará al responsable la manera de proceder y siempre de
manera que se respete la confidencialidad y la seguridad de la información.
l) El Encargado del Tratamiento siempre colaborará tanto en el cumplimiento
de las obligaciones del responsable como en su demostración.
m) En el ámbito de actuación del encargado, se atenderán las siguientes
indicaciones:
– No se permitirá el uso para fines particulares de aquellos ordenadores y
dispositivos destinados al tratamiento de los datos personales.
– Cuando el mismo ordenador o dispositivo se utilice para el tratamiento de
datos personales y fines de uso personal, se recomienda disponer de varios
perfiles o usuarios distintos para cada una de las finalidades. Deben mantenerse
separados los usos profesional y personal del ordenador o dispositivo.
– Si, en el procedimiento de tratamiento o acceso a los datos a través de un
equipo de los Encargados del Tratamiento, se realice mediante acceso remoto, se
debe disponer de las medidas de seguridad adecuadas contando, al menos, de
una VPN y doble factor de autenticación, 2FA, o medidas de seguridad
equivalentes y que cumplan con el nivel requerido del ENS para en el nivel que
corresponda.
– Se recomienda disponer de perfiles con derechos de administración para la
instalación y configuración del sistema y usuarios sin privilegios o derechos de
administración para el acceso a los datos personales. Esta medida evitará que, en
caso de ataque de ciberseguridad, puedan obtenerse privilegios de acceso o
modificar el sistema operativo.
– Se garantizará la existencia de contraseñas (o mecanismos equivalentes)
para el acceso a los datos personales almacenados en sistemas electrónicos. La
contraseña tendrá, al menos, 16 caracteres, mezcla de números y letras, y se
renovarán periódicamente (al menos de forma trimestral).
– Cuando a los datos personales accedan distintas personas, para cada
persona con acceso a los datos personales, se dispondrá de un usuario y
contraseña específicos (identificación inequívoca).

cve: BOE-A-2023-19756
Verificable en https://www.boe.es

Núm. 225